Sicurezza Power Platform: autenticazione utenti esterni

Panoramica dell’autenticazione esterna in Power Platform

La sicurezza di Microsoft Power Platform non si limita agli utenti interni: la piattaforma consente infatti di autenticare utenti esterni — clienti, partner, cittadini o collaboratori — attraverso diverse modalità. Tra le opzioni principali figurano gli utenti guest di Azure Active Directory, le federazioni Azure AD B2C e i meccanismi di autenticazione integrati nei portali Power Pages.

La gestione dell’identità esterna è fondamentale per realizzare soluzioni pubbliche o collaborative, mantenendo il controllo sui dati e sulla conformità. Ogni opzione presenta vantaggi e scenari d’uso specifici.

Utenti guest di Azure Active Directory (B2B Collaboration)

Gli utenti guest rappresentano la modalità più diretta per consentire l’accesso a risorse Power Platform a utenti esterni. Attraverso la funzionalità di invito di Azure AD, un’organizzazione può aggiungere un utente esterno come membro guest del proprio tenant, garantendo l’accesso controllato a Power Apps o Power Automate.

Ogni utente invitato deve accettare l’invito per essere registrato fisicamente nel tenant. Una volta accettato, può accedere alle applicazioni condivise in modalità “utente”, ma non come co-proprietario. Ciò evita modifiche non autorizzate ai flussi o alle app condivise.

Questo modello utilizza Azure Active Directory come provider di autenticazione principale, integrandosi con le policy di sicurezza del tenant, come Conditional Access e Multi-Factor Authentication.

Vantaggi principali

• Gestione centralizzata degli accessi tramite Azure AD.
• Supporto per policy di sicurezza aziendali e MFA.
• Accesso controllato a Power Apps e flussi condivisi.
• Comoda revoca dell’accesso tramite la gestione degli utenti guest.

Limiti

• Gli utenti guest non possono essere co-proprietari di risorse.
• Richiede l’invito e l’accettazione manuale per ogni utente.
• Non adatto a scenari consumer ad alta scala.

Azure Active Directory B2C: federazione con provider esterni

Per scenari consumer o di larga scala, Azure AD B2C (Business-to-Consumer) rappresenta la soluzione più flessibile. Permette di federare identità provenienti da provider esterni come Microsoft, Google, LinkedIn, Facebook o Twitter, consentendo agli utenti di accedere con le proprie credenziali esistenti.

Questo modello è ideale per portali pubblici o reti di partner che richiedono una gestione esterna delle identità, senza doverle registrare direttamente nel tenant aziendale.

Caratteristiche principali

• Supporto per provider di autenticazione multipli.
• Gestione self-service della registrazione utenti.
• Personalizzazione dei flussi di login e registrazione.
• Conformità ai requisiti di privacy e GDPR grazie a politiche configurabili.

Integrazione con Power Platform

Azure AD B2C può essere utilizzato come provider per Power Pages, offrendo una federazione sicura e scalabile per l’accesso esterno. La configurazione avviene nel pannello di amministrazione di Power Pages, dove è possibile abilitare più provider contemporaneamente.

Autenticazione esterna nei portali Power Pages

Power Pages è il componente Power Platform dedicato alla pubblicazione di portali esterni basati su Dataverse. Poiché questi portali aprono l’accesso a utenti pubblici, la gestione dell’autenticazione assume un ruolo cruciale.

Ogni utente autenticato deve avere un record nella tabella Contact di Dataverse. Le modalità disponibili includono:

• Autenticazione locale: credenziali archiviate direttamente nella tabella Contact, adatta a portali interni o di test.
• Autenticazione esterna: delegata a provider come Azure AD, B2C o social login (Microsoft, Google, LinkedIn, Facebook, Twitter).

È possibile combinare più provider nello stesso portale, consentendo all’utente di scegliere il metodo di accesso preferito. I portali supportano inoltre:

• Registrazione aperta — chiunque può registrarsi, con creazione automatica del contatto Dataverse.
• Registrazione tramite invito — solo contatti preesistenti ricevono un codice di invito per attivare l’accesso.
• Restrizioni IP — limitano l’accesso da specifiche aree geografiche o reti.

Autorizzazione e ruoli

L’autenticazione è solo il primo passo: l’autorizzazione nei portali Power Pages è gestita tramite Web Roles e Table Permissions in Dataverse. I Web Roles definiscono i privilegi di navigazione e accesso ai contenuti, mentre le Table Permissions limitano la visualizzazione o modifica dei dati.

Lo schema mostra il flusso di autenticazione esterna: l’utente esterno accede tramite un provider (Azure AD o B2C), che convalida l’identità e collega la sessione al record Contact in Dataverse.